ひのでケア システム管理者ガイド

1. システム構成

ホスティング・ドメイン

ホスティング	Xserver（sv14474.xserver.jp）
ドメイン	★ドメイン未定
アプリパス	/hinode-care/

技術スタック

フロントエンド	HTML + vanilla JavaScript（SPA構成）
バックエンド	PHP
データベース	SQLite3（data/hinode.db）
認証方式	セッションベース認証 + CSRFトークン
バックアップ格納先	/hinode-care/backups/（.htaccessで保護）

data/hinode.db および backups/ ディレクトリは .htaccess によって外部からの直接アクセスが禁止されています。

主要ファイル一覧

ファイル名	役割
index.html	メインSPA（利用者管理UI）
app.js	フロントエンドロジック
api.php	バックエンドAPI（利用者CRUD）
auth.php	認証モジュール（ログイン・セッション管理）
attendance-api.php	勤怠管理API
billing-api.php	請求管理API
shift-api.php	シフト管理API
download.php	帳票生成（PDF/Word）
ai-parse.php	AI書類読み取り
backup-cron.php	自動バックアップ実行スクリプト
import-sheets.php	スプレッドシートインポート
attendance.html / attendance-app.js	勤怠管理画面
billing.html / billing-app.js	請求管理画面
shift.html / shift-app.js	シフト管理画面
report-client.html / report-client.js	利用者レポート画面
report-staff.html / report-staff.js	スタッフレポート画面
data/hinode.db	SQLiteデータベース（全利用者データ）

2. ユーザー管理

2-1. ロール体系

システムには以下の3つのロールがあります。ロールによって操作できる機能が異なります。

ロール名	レベル	主な権限
staff	1	閲覧のみ・勤怠入力
admin	2	利用者の登録・編集・削除、シフト管理、帳票生成
super_admin	3	adminの全権限に加え、ユーザー管理・計画未確定/削除・システム設定

2-2. ユーザーの追加

1. 画面上部のヘッダーメニューから「ユーザー管理」を開く
2. 「新規ユーザー追加」ボタンをクリックする
3. ユーザー名・表示名・ロール・初期パスワードを入力する
4. 「登録」ボタンで保存する
5. 初回ログイン後にパスワードを変更するようユーザーに案内する

2-3. パスワードリセット

管理者はユーザー管理画面から任意のユーザーのパスワードをリセットできます。ユーザー自身もログイン後に「PW変更」ボタンから自分のパスワードを変更できます。

1. ヘッダーメニューから「ユーザー管理」を開く
2. 対象ユーザーの行にある「パスワードリセット」をクリックする
3. 新しいパスワードを入力して「保存」する
4. 新パスワードをユーザーに伝える

2-4. ユーザーの無効化

退職等でアカウントが不要になった場合は、ユーザー管理画面から対象ユーザーを削除します。

3. バックアップと復旧

3-1. 自動バックアップ

Xserverのcron機能を使い、毎日自動バックアップが実行されます。バックアップはデータベースファイルと主要なアプリケーションファイル（計23ファイル）を対象とします。

実行コマンド（cron設定）	/usr/bin/php ★サーバー確定後に記入（例 /home/＜アカウント＞/＜ドメイン＞/public_html/hinode-care/backup-cron.php）
保存先	/hinode-care/backups/YYYY-MM-DD_HHMMSS/
保持期間	30日間（古いバックアップは自動削除）
対象ファイル数	23ファイル（DB + アプリファイル）

3-1-2. 自動入力設定（出退勤 cron）

出退勤の自動打刻機能も Xserver cron で動作します。

実行間隔	平日5分ごと
設定画面	出退勤管理画面の「自動入力設定」（admin 以上）
機能	設定した時刻に自動出勤・自動日報・自動退勤を実行（ジッター付き）

3-2. 手動バックアップ

1. 画面上部のヘッダーメニューから「バックアップ」ボタンをクリックする
2. 「バックアップ実行」をクリックする
3. 完了メッセージが表示されるまで待つ
4. バックアップ一覧に新しいエントリが追加されていることを確認する

3-3. バックアップのダウンロード

バックアップ一覧の各エントリに「ダウンロード」ボタンがあります。クリックするとそのバックアップの全ファイルをまとめたZIPファイルを取得できます。月1回はローカルにダウンロードして保管することを推奨します。

3-4. 復旧手順

1. 復元対象のバックアップZIPをダウンロードする
2. ZIPファイルを解凍する
3. FTPクライアントで接続し、data/hinode.db をサーバーの同パスにアップロードしてデータベースを復元する
4. 必要に応じて個別のPHP・HTML・JSファイルもアップロードする
5. ブラウザでシステムにアクセスし、正常に動作することを確認する

3-5. バックアップ対象ファイル一覧

以下の23ファイルが自動バックアップの対象です。

No.	ファイルパス
1	data/hinode.db
2	api.php
3	attendance-api.php
4	auth.php
5	ai-parse.php
6	download.php
7	.htaccess
8	index.html
9	app.js
10	attendance.html
11	attendance-app.js
12	report-client.html
13	report-client.js
14	report-staff.html
15	report-staff.js
16	billing-api.php
17	billing.html
18	billing-app.js
19	shift.html
20	shift-api.php
21	shift-app.js
22	backup-cron.php
23	import-sheets.php

4. デプロイ（更新手順）

4-1. FTP接続情報

プロトコル	FTPS（Explicit TLS）
ホスト	sv14474.xserver.jp
ユーザー名	xs128613
デプロイ先パス	/★ドメイン未定/public_html/hinode-care/

4-2. ファイル更新手順

1. 管理画面からバックアップを実行し、最新のバックアップが存在することを確認する
2. FTPクライアント（FileZilla・WinSCP等）でFTPS接続する
3. 更新対象のファイルをサーバーの該当パスにアップロードする
4. ブラウザでシステムにアクセスし、正常に表示されることを確認する
5. 更新した機能を実際に操作して動作を確認する

5. セキュリティ

5-1. アクセス制御

.htaccess により以下のファイル・ディレクトリへの直接アクセスが禁止されています。

保護対象	内容
.db ファイル	データベースファイルへの直接ダウンロード禁止
auth.php	認証モジュールへの直接アクセス禁止
backup-cron.php	バックアップスクリプトへの直接実行禁止
backups/ ディレクトリ	バックアップファイルへの直接ダウンロード禁止

また、.htaccess によりHTTPアクセスはHTTPSへ強制リダイレクトされます。以下のセキュリティヘッダーも設定されています。

ヘッダー名	設定内容
X-Content-Type-Options	MIMEタイプスニッフィング防止
X-Frame-Options	クリックジャッキング防止
X-XSS-Protection	XSS フィルター有効化
Content-Security-Policy	外部スクリプト読み込み制限

5-2. 認証セキュリティ

セッションタイムアウト	8時間
ログイン試行制限（IP単位）	60秒間に10回まで
ログイン試行制限（アカウント単位）	60秒間に5回まで
アカウントロック時間	制限超過後15分間
パスワード変更レート制限	短時間の連続変更を制限（ブルートフォース対策）
CSRFトークン	全POST・PUT・DELETE リクエストで必須
パスワードハッシュ	bcrypt

5-3. 管理者専用機能のアクセス制御

以下の機能は admin 以上のロールのみアクセス可能です。スタッフ権限では操作できません。

給与計算	請求管理画面の給与計算機能（admin 以上）
ケース記録作成	利用者のケース記録の新規作成・編集（admin 以上）
人物同期（person sync）	利用者マスタと出退勤メンバーの同期処理（admin 以上）

5-4. セキュリティチェックリスト（定期確認）

• admin および super_admin アカウントのパスワードは十分に強力か
• 退職・異動したスタッフのユーザーアカウントは削除されているか
• バックアップが正常に実行されているか（バックアップ一覧で最新日時を確認）
• SSL証明書の有効期限が切れていないか（Xserver管理画面で確認）

6. トラブルシューティング

症状	原因	対処法
ログインできない	アカウントロック	15分待つ、または管理者がユーザー管理画面からパスワードをリセットする
ログインできない	パスワード忘れ	管理者がユーザー管理画面からパスワードをリセットする
画面が表示されない・崩れる	ブラウザキャッシュ	ブラウザのキャッシュを強制クリアする（Ctrl + Shift + R）
保存に失敗する	セッション切れ	一度ログアウトして再ログインする
保存に失敗する	CSRFエラー	ページを再読み込みしてから再度操作する
帳票が空白で出力される	利用者情報が未入力	利用者の各タブに必要な情報が入力されているか確認する
受給者証アラートが消えない	期限情報が未更新	利用者編集画面の「障害情報」タブで受給者証の有効期間を更新する
自動バックアップが失敗する	ディスク容量不足	Xserver管理画面でディスク使用量を確認し、不要なファイルを削除する
PDFダウンロードが動作しない	ブラウザのポップアップブロック	ブラウザの設定でサイトのポップアップ表示を許可する

7. 操作ログ

利用者データへの変更操作（登録・更新・削除）はすべてシステムが自動的に記録します。

ログの確認方法

1. 対象の利用者の編集画面を開く
2. 画面内の「操作ログ」ボタンをクリックする
3. 操作日時・操作種別・変更内容・実行ユーザーの一覧が表示される

ログに記録される情報

項目	内容
日時	操作が実行された日付と時刻
操作種別	登録・更新・削除などの区分
変更内容	変更前後の値（主要フィールド）
実行ユーザー	操作を行ったユーザー名

操作ログは監査証跡・トラブル調査・不正操作の確認に活用できます。

7-2. 国保連請求 管理運用

国保連請求機能（billing.html）の管理者向け運用ガイド。スタッフ向けの操作手順は 操作マニュアル「17. 国保連請求」 を参照。

事業所マスタの管理

「事業所設定」タブで以下を管理：

項目	値（ひので）	変更頻度
事業所番号	★要確認（指定通知書の10桁）	不変
地域区分コード	20（その他地域）	不変
単位数単価	10000（10円×1000）	不変
処遇改善加算率（DB値）	14.0（実値はロジック側で月別自動計算）	制度改定時
A型減免措置	1（未実施）	事業所方針による
定員	20	定員変更時

サービスコードマスタ

サービスコードは service_codes テーブルで管理。billing-api.php 起動時に自動シード。

コード	名称	単位/日	適用開始
452049	就継ＡⅠ15（基本報酬）	533	-
455050	初期加算	30	利用開始30日以内のみ
456036	福祉専門職員配置等加算Ⅲ	6	2026-05-01〜
455290	賃金向上達成指導員配置加算	70	2026-05-01〜

処遇改善加算率（月別）

billing-api.php の getTreatmentRateForMonth() 関数で月別固定値を返却（ハードコード）：

サービス提供月	加算区分	加算率
2026年4月	処遇改善加算Ⅱ	9.4%
2026年5月	処遇改善加算Ⅰ	9.6%
2026年6月以降	処遇改善加算Ⅰロ	11.2%

受給者証情報の一括管理

「事業所設定」タブの「市町村番号 一括設定」セクションで、利用者の住所(city)から自動的に市町村番号を判定・設定できます。

1. 新規利用者を追加した直後、住所(city)を含めて利用者情報を保存
2. billing.html → 事業所設定タブ → 「住所から自動判定（推奨）」ボタン
3. 結果詳細を確認（市町村名→番号の対応が正しいか）
4. 住所地特例等で個別設定が必要な人は、利用者設定タブから個別編集

ステータス管理（state machine）

monthly_billing テーブルの status カラムで請求の状態を管理：

draft  ───→ submitted ───→ accepted ───→ paid
  ↑              │
  └──────────────┘ （admin: 誤提出取り消し可）

• CSV出力対象は status='draft' のみ（二重請求防止）
• admin は draft⇄submitted の双方向遷移可
• super_admin は accepted/paid からの逆遷移も可
• 送信完了後は必ず submitted へ遷移させる（一括または個別）

監査・返戻対応

1. 到達確認PDFを必ず保管（取込送信システムから出力）
2. 返戻通知が届いたら（通常1〜2週間以内）、エラーコード別に対応：
   • 受給者証番号不一致 → 受給者証コピーで確認・修正
   • 支給決定期間外 → 期間内のサービス分のみ請求
   • 支給決定量超過 → 受給者証の支給量確認
   • 市町村番号不一致 → 受給者証発行市町村番号に修正
3. 修正後、翌月送信時に過月請求として再送信

関連ドキュメント

• docs/07_国保連請求モジュール設計書.md — 技術仕様・データモデル
• docs/kokuhoren-spec/billing-operation-runbook.md — 月次運用手順書（実務マニュアル）
• 総務省「全国地方公共団体コード」（京都府26市町村） — 京都府26市町村コード表
• docs/kokuhoren-spec/GAP-ANALYSIS-2026-04-30.md — 仕様書ギャップ分析・解決履歴
• docs/kokuhoren-spec/interface-spec-jigyousho-R7-10.pdf — 国保連仕様書（事業所編、令和7年10月施行版）

8. 定期メンテナンス

毎月の確認項目

• バックアップが正常に実行されているか（バックアップ一覧で最新日時を確認）
• バックアップZIPをローカルにダウンロードして保管する（月1回推奨）
• ユーザーアカウントの棚卸しを行う（不要なアカウントを削除）
• サーバーのディスク使用量を確認する（Xserver管理画面）

四半期ごとの確認項目

• 第5章のセキュリティチェックリストを実施する
• SSL証明書の有効期限を確認する（Xserver管理画面の「SSL設定」）
• admin・super_admin アカウントのパスワード変更を推奨する

9. 連絡先・サポート

システム開発者

担当	（担当者名をここに記載）
連絡先	（メールアドレス・電話番号をここに記載）
対応時間	（対応可能な時間帯をここに記載）

不具合・機能改善の要望はシステム開発者にご連絡ください。

Xserver サポート

サポートページ	https://www.xserver.ne.jp/support/
管理パネル	https://www.xserver.ne.jp/login_server_panel.php
対応内容	ホスティング・ドメイン・SSL・cron設定・FTP に関するご質問

サーバーの設定変更・cron設定・SSL証明書の確認など、ホスティング環境に関する問い合わせはXserverのサポートをご利用ください。